某浪新闻APP之登录验证码下发短信另类分析

前言

我又来了。今天的主角是某浪新闻APP

工具

fiddler（抓包工具）
Drony（习惯用了，不用去手机设置里面填写代{过}{滤}理地址和端口。。）
jadx-gui（反编译app）
root环境（我这是另类的分析，要用到hook）
e4a（java小白，只能用这个编写xposed模块了）

0x1 抓包

fiddler下关键词sendsms断点（省的浪费人家的短信额度。。。）
分别用2个不同的后机会抓2次包，分析不同的信息。
在这里插入图片描述

mobile	GAuth	SN-REQID
15600000000	newsapp:1629519735:5be3ae91fd334a78b91d893d0de7853b:46100b5f78fd8ad4163a10da7ce7f9bd9cc24953fadf732795b65544f91b553b	162951973462938c4670a9754
15699999999	newsapp:1629519762:483b210ec35f4e4090ab4ccc8f147ee2:1c7eacc96f5bbe42f6e0ccff425efadef0b82e28a17f71124304bb2bfad6dab4	162951976242538c4670a1271

经测试，协议头不带SN-REQID可以正常发送，但是不带GAuth下发就会失败。
所以接下来分析GAuth的值是怎么得来的

0x2 分析+hook

jadx-gui

搜"GAuth"
打开jadx，分析app，搜索"GAuth"，一共3处调用。
在这里插入图片描述

（无用功）查看第一处调用

我们先看第一处调用：

 addRequestHeader("GAuth", HttpSignUtils.e("newsapp", serverTime, UUID.randomUUID().toString().replaceAll("\\-", "")));

右键跳到HttpSignUtils.e

HttpSignUtils.e

    public static String e(String str, long j, String str2) {if (SNTextUtils.f(str)) {str = "newsapp";}return str + ":" + j + ":" + str2 + ":" + HttpSignHelper.financeSecretKey2(str2, j);}

HttpSignHelper.financeSecretKey2

public static native String financeSecretKey2(String str, long j);

竟然是native，需要分析so文件。。那我这能力，我直接就放弃了。。

查看第二处调用

    addRequestHeader("GAuth", HttpSignUtils.e(str, j, replaceAll));
/* 全文是下面这样的 */public void addThirdAppSignHeader(String str, long j, boolean z) {String replaceAll = UUID.randomUUID().toString().replaceAll("\\-", "");if (z) {addRequestHeader("GAuth", HttpSignUtils.e(str, j, replaceAll));/* 如果z为true */} else {addRequestHeader("GAuth", HttpSignUtils.d(str, j, replaceAll));/* 如果z为false */}addRequestHeader("User-Agent", ApiManager.f().e().p());addRequestHeader("DeviceId", ApiManager.f().e().c());}

我们可以通过xposed模块hook，把addThirdAppSignHeader的参数z设置为false，让其执行HttpSignUtils.d函数

HttpSignUtils.d

看样子就是str：j：str2：g(str2 + j,a.get(str))

    public static String d(String str, long j, String str2) {if (SNTextUtils.f(str)) {str = "newsapp";}StringBuilder sb = new StringBuilder();sb.append(str);sb.append(":");sb.append(j);sb.append(":");sb.append(str2);sb.append(":");sb.append(g((str2 + j).getBytes(), a.get(str).getBytes()));return sb.toString();}

str	j	str2
本次为’newsapp’	十位时间戳	randomUUID替换’-‘为’’
‘newsapp’	十位时间戳	UUID.randomUUID().toString().replaceAll("\-", “”)

a

这个a.get(str)，就是取出hashMap中’newsapp’的值，也就是f()

        a = hashMap;hashMap.put("newsapp", f());

这个f()应该也是通过so得出的，技术有限，所以不分析他了。直接从g加密函数入手，hook出明文和秘钥。

g

HmacSHA256加密操作，bArr为明文，bArr2为秘钥

    private static synchronized String g(byte[] bArr, byte[] bArr2) {SecretKeySpec secretKeySpec = new SecretKeySpec(bArr2, "HmacSHA256");Mac instance = Mac.getInstance("HmacSHA256");instance.init(secretKeySpec);return a(instance.doFinal(bArr));}

易安卓写hook g

XposedHelpers.findAndHookMethod("com.XXX.XXXX.HttpSignUtils", lpparam.classLoader, "g"   , byte[].class , byte[].class , new XC_MethodHook() //g(byte[] bArr, byte[] bArr2) {
{@Overrideprotected void beforeHookedMethod(MethodHookParam param) throws Throwable {                XposedBridge.log("某浪新闻 g【HmacSHA256加密】参数1--->> " + 转换操作.字节到文本((byte[])param.args[0],"utf-8"));XposedBridge.log("某浪新闻 g【HmacSHA256加密】参数2--->> " + 转换操作.字节到文本((byte[])param.args[1],"utf-8"));}protected void afterHookedMethod(MethodHookParam param) throws Throwable {XposedBridge.log("某浪新闻 g【HmacSHA256加密】结果--->> " + (String)param.getResult());}
});